ACME HTTP Validation schlägt fehl.

superviiv

Hallo,
bei der Erneuerung meine Let’s Encrzpt Certs finde ich in der lg von acme-mailcow folgendes:

mailcowdockerized-acme-mailcow-1  | OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for Docker API...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Docker API OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for Postfix...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Postfix OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for Dovecot...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Dovecot OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for database...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Database OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for Nginx...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Nginx OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for resolver...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Resolver OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Waiting for domain table...
mailcowdockerized-acme-mailcow-1  | OK
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Initializing, please wait...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Using existing domain rsa key /var/lib/acme/acme/key.pem
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Using existing Lets Encrypt account key /var/lib/acme/acme/account.pem
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:04 CET 2023 - Detecting IP addresses...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - OK: 45.151.122.172, 2a02:c206:3010:8605::1
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Found AAAA record for autodiscover.789121.wtf: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - No A or AAAA record found for hostname autoconfig.789121.wtf
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Found AAAA record for autodiscover.bescheidermuehle.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Found AAAA record for autoconfig.bescheidermuehle.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Found AAAA record for autodiscover.lentes-heizung-sanitaer.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Found AAAA record for autoconfig.lentes-heizung-sanitaer.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:05 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Found AAAA record for autodiscover.matthiesband.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Found AAAA record for autoconfig.matthiesband.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Found AAAA record for autodiscover.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Found AAAA record for autoconfig.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Found AAAA record for vulcan.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Cannot validate any hostnames, skipping Let's Encrypt for 1 hour.
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Use SKIP_LETS_ENCRYPT=y in mailcow.conf to skip it permanently.
mailcowdockerized-acme-mailcow-1  | OK

Was ich hier nicht ganz verstehe sind Zeilen wo das hier drin vorkommt:

mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Found AAAA record for autodiscover.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 09:20:06 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed

Afaik ist es doch so das autodiscover.xyz… gar nicht über http erreichbar sein muss? Lässt das die Erneuerung fehlschlagen? Was könnte ich noch tun um hier weiter zu kommen?
Für Tips aller Art bin ich sehr dankbar. :-)

DocFraggle

Also afaik müssen ALLE FQDNs die Du als SAN im Zertifikat nutzen willst erreichbar sein, sonst könntest Du Dir ja ein wildes Phising-Zertifikat für alles Mögliche ausstellen. Ist IPv6 in Deiner Firewall blockiert? Oder stimmen die DNS Einträge nicht?

superviiv

Ich habe die DNS Einträge geprüft, indem ich in der Mailcow Admin Oberfläche alle DNS Panele der angelegten Domains durchgeklickt habe. Bei einer Domain habe ich Fehler gefunden und korrigiert. Ich bekomme aber weiterhin die Meldung

mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:39 CET 2023 - Initializing, please wait...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:39 CET 2023 - Using existing domain rsa key /var/lib/acme/acme/key.pem
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:39 CET 2023 - Using existing Lets Encrypt account key /var/lib/acme/acme/account.pem
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:39 CET 2023 - Detecting IP addresses...
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:39 CET 2023 - OK: 45.151.122.172, 2a02:c206:3010:8605::1
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autodiscover.789121.wtf: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autoconfig.789121.wtf: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autodiscover.bescheidermuehle.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autoconfig.bescheidermuehle.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autodiscover.lentes-heizung-sanitaer.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autoconfig.lentes-heizung-sanitaer.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autodiscover.matthiesband.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Found AAAA record for autoconfig.matthiesband.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:40 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Found AAAA record for autodiscover.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Found AAAA record for autoconfig.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Found AAAA record for vulcan.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001, but HTTP validation failed
mailcowdockerized-acme-mailcow-1  | Thu Nov 16 12:39:41 CET 2023 - Cannot validate any hostnames, skipping Let's Encrypt for 1 hour.

Für jeden Hostnamen der gefunden wir schlägt die http Validierung fehl. Auf meinen Server selbst (Debian) läuft kein ufw. Ich kann den server über seine ipv6 2a02:c206:3010:8605::1 anpingen. Das Mailcow Interface zeigt mir auch an das es eine IPv6 gibt. Ich kann vom Server aus andere IPv6 Adressen anpingen.

Was ich nicht 100% sicher sagen kann ist ob ein http:// Request, welcher über ipv6 ankommt, auch vom Server verarbeitet oder ggf. geblockt wird. Wie könnte ich das prüfen?

Gebe ich autodiscover.vivid.io im Browser ein Lande ich auf der Login Maske von Mailcow. So ganz unerreichbar scheint es nicht zu sein.

Danke für die Antwort und sorry wenn ich hier als Newb rüberkomme.

esackbauer

Vielleicht hilft der Thread weiter?
https://community.mailcow.email/d/2593-failed-to-obtain-certificate-some-errors-occurred

superviiv

Leider nein. Ich habe aber zwischenzeitlich rausgefunden das es irgendwie an der IPv6 Konfiguration liegen muss. Es kann zwar so viel von außen den Server anpingen, als auch vom Server andere Domains anpingen.

Ich konnte in der Zwischenzeit andere Posts finden welche ein ähnliches Problem beschreiben, bzw auch die selben Bedigungen beschreiben. Mein Server ist auch bei Contabo…
https://community.mailcow.email/d/2801-acme-kann-nicht-nachvollziehbar-den-hostnamen-einer-mail-domain-nicht-auflosen
https://community.mailcow.email/d/2970-unable-to-obtain-certificate-on-new-installation

Ich habe auch da den Support einmal Kontaktiert. Sollte ich mehr herausfinden melde ich mich. Vlt. ist es nicht uninteressant das dieses Contabo IPv6 / SSL Problem mal eine Anleitung oder Antwort hier findet.

Hier, der vollständigkeit halber, meine aktuelle netplan Config:

network:
  version: 2
  renderer: networkd
  ethernets:
    ens18:
      match:
        macaddress: 00:50:56:4a:02:c9
      addresses:
        - 45.151.122.172/24
        - 2a02:c207:3011:7552::1/64
          gateway6: fe80::1
      routes:
        - to: 0.0.0.0/0
          via: 45.151.122.1
          on-link: true
      nameservers:
        search: [ invalid ]
        addresses:
          - 161.97.189.52
          - 161.97.189.51
          - 2a02:c206:5028::2:53
          - 2a02:c206:5028::1:53

superviiv

Ich renne dem Problem immernoch hinterher. Ich habe einmal diesen Lösungsvorschlag von GitHub ausprobier: mailcow/mailcow-dockerized4463

Damit scheine ich tatsächlich etwas weiter zu kommen, leider klappt es immernoch nicht Ganz. Let’s Encrypt spricht nun von DNS Probleme, welche ich mir aber nicht erklären kann. Ich habe alle Domain DNS Settings noch einmal geprüft, die scheinen mir richtig zu sein.
Die acme-mailcow Log dazu

mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:55 CET 2023 - Waiting for Docker API...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:55 CET 2023 - Docker API OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:55 CET 2023 - Waiting for Postfix...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Postfix OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Waiting for Dovecot...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Dovecot OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Waiting for database...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Database OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Waiting for Nginx...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Nginx OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:56 CET 2023 - Waiting for resolver...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:58 CET 2023 - Resolver OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:58 CET 2023 - Waiting for domain table...
mailcowdockerized-acme-mailcow-1  | OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:20:59 CET 2023 - Initializing, please wait...
mailcowdockerized-acme-mailcow-1  | Could not read certificate from <stdin>
mailcowdockerized-acme-mailcow-1  | Unable to load certificate
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:00 CET 2023 - Using existing domain rsa key /var/lib/acme/acme/key.pem
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:00 CET 2023 - Using existing Lets Encrypt account key /var/lib/acme/acme/account.pem
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:10 CET 2023 - No A or AAAA record found for hostname autodiscover.789121.wtf
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:10 CET 2023 - Found AAAA record for autoconfig.789121.wtf: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:11 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:11 CET 2023 - Found AAAA record for autodiscover.bescheidermuehle.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:11 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:11 CET 2023 - Found AAAA record for autoconfig.bescheidermuehle.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:11 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:12 CET 2023 - Found AAAA record for autodiscover.lentes-heizung-sanitaer.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:12 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:12 CET 2023 - Found AAAA record for autoconfig.lentes-heizung-sanitaer.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:12 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:14 CET 2023 - Found AAAA record for autodiscover.matthiesband.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:14 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:14 CET 2023 - Found AAAA record for autoconfig.matthiesband.de: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:14 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:15 CET 2023 - Found AAAA record for autodiscover.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:15 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:15 CET 2023 - Found AAAA record for autoconfig.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:15 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Found AAAA record for vulcan.vivid.io: 2a02:c206:3010:8605::1 - skipping A record check
mailcowdockerized-acme-mailcow-1  | (skipping check, returning 0)
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Confirmed AAAA record with IP 2a02:c206:3010:8605:0000:0000:0000:0001
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Certificate /var/lib/acme/vulcan.vivid.io/cert.pem missing or changed domains 'vulcan.vivid.io autoconfig.789121.wtf autoconfig.bescheidermuehle.de autoconfig.lentes-heizung-sanitaer.de autoconfig.matthiesband.de autoconfig.vivid.io autodiscover.bescheidermuehle.de autodiscover.lentes-heizung-sanitaer.de autodiscover.matthiesband.de autodiscover.vivid.io' - start obtaining
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Creating backups in /var/lib/acme/backups/vulcan.vivid.io/2023-11-22_08_21_16 ...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Checking resolver...
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Resolver OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:21:16 CET 2023 - Using command acme-tiny   --account-key /var/lib/acme/acme/account.pem --disable-check --csr /var/lib/acme/vulcan.vivid.io/acme.csr --acme-dir /var/www/acme/
mailcowdockerized-acme-mailcow-1  | Parsing account key...
mailcowdockerized-acme-mailcow-1  | Parsing CSR...
mailcowdockerized-acme-mailcow-1  | Found domains: autoconfig.789121.wtf, autoconfig.lentes-heizung-sanitaer.de, autodiscover.matthiesband.de, autoconfig.vivid.io, autoconfig.bescheidermuehle.de, vulcan.vivid.io, autoconfig.matthiesband.de, autodiscover.bescheidermuehle.de, autodiscover.vivid.io, autodiscover.lentes-heizung-sanitaer.de
mailcowdockerized-acme-mailcow-1  | Getting directory...
mailcowdockerized-acme-mailcow-1  | Directory found!
mailcowdockerized-acme-mailcow-1  | Registering account...
mailcowdockerized-acme-mailcow-1  | Already registered! Account ID: https://acme-v02.api.letsencrypt.org/acme/acct/1218288857
mailcowdockerized-acme-mailcow-1  | Creating new order...
mailcowdockerized-acme-mailcow-1  | Order created!
mailcowdockerized-acme-mailcow-1  | Verifying autoconfig.789121.wtf...
mailcowdockerized-acme-mailcow-1  | autoconfig.789121.wtf verified!
mailcowdockerized-acme-mailcow-1  | Verifying autoconfig.bescheidermuehle.de...
mailcowdockerized-acme-mailcow-1  | autoconfig.bescheidermuehle.de verified!
mailcowdockerized-acme-mailcow-1  | Verifying autoconfig.lentes-heizung-sanitaer.de...
mailcowdockerized-acme-mailcow-1  | autoconfig.lentes-heizung-sanitaer.de verified!
mailcowdockerized-acme-mailcow-1  | Verifying autoconfig.matthiesband.de...
mailcowdockerized-acme-mailcow-1  | autoconfig.matthiesband.de verified!
mailcowdockerized-acme-mailcow-1  | Verifying autoconfig.vivid.io...
mailcowdockerized-acme-mailcow-1  | autoconfig.vivid.io verified!
mailcowdockerized-acme-mailcow-1  | Verifying autodiscover.bescheidermuehle.de...
mailcowdockerized-acme-mailcow-1  | autodiscover.bescheidermuehle.de verified!
mailcowdockerized-acme-mailcow-1  | Verifying autodiscover.lentes-heizung-sanitaer.de...
mailcowdockerized-acme-mailcow-1  | autodiscover.lentes-heizung-sanitaer.de verified!
mailcowdockerized-acme-mailcow-1  | Verifying autodiscover.matthiesband.de...
mailcowdockerized-acme-mailcow-1  | Traceback (most recent call last):
mailcowdockerized-acme-mailcow-1  |   File "/usr/bin/acme-tiny", line 8, in <module>
mailcowdockerized-acme-mailcow-1  |     sys.exit(main())
mailcowdockerized-acme-mailcow-1  |   File "/usr/lib/python3.10/site-packages/acme_tiny.py", line 195, in main
mailcowdockerized-acme-mailcow-1  |     signed_crt = get_crt(args.account_key, args.csr, args.acme_dir, log=LOGGER, CA=args.ca, disable_check=args.disable_check, directory_url=args.directory_url, contact=args.contact, check_port=args.check_port)
mailcowdockerized-acme-mailcow-1  |   File "/usr/lib/python3.10/site-packages/acme_tiny.py", line 153, in get_crt
mailcowdockerized-acme-mailcow-1  |     raise ValueError("Challenge did not pass for {0}: {1}".format(domain, authorization))
mailcowdockerized-acme-mailcow-1  | ValueError: Challenge did not pass for autodiscover.matthiesband.de: {'identifier': {'type': 'dns', 'value': 'autodiscover.matthiesband.de'}, 'status': 'invalid', 'expires': '2023-11-29T07:21:22Z', 'challenges': [{'type': 'http-01', 'status': 'invalid', 'error': {'type': 'urn:ietf:params:acme:error:dns', 'detail': "DNS problem: SERVFAIL looking up CAA for autodiscover.matthiesband.de - the domain's nameservers may be malfunctioning", 'status': 400}, 'url': 'https://acme-v02.api.letsencrypt.org/acme/chall-v3/286309107936/UwmR1g', 'token': 'dVzqKzn0AZ7nzSBX57gswtgh_a4eguM1a57YgzNj6jI', 'validationRecord': [{'url': 'http://autodiscover.matthiesband.de/.well-known/acme-challenge/dVzqKzn0AZ7nzSBX57gswtgh_a4eguM1a57YgzNj6jI', 'hostname': 'autodiscover.matthiesband.de', 'port': '80', 'addressesResolved': ['45.151.122.172', '2a02:c206:3010:8605::1'], 'addressUsed': '2a02:c206:3010:8605::1'}, {'url': 'http://autodiscover.matthiesband.de/.well-known/acme-challenge/dVzqKzn0AZ7nzSBX57gswtgh_a4eguM1a57YgzNj6jI', 'hostname': 'autodiscover.matthiesband.de', 'port': '80', 'addressesResolved': ['45.151.122.172', '2a02:c206:3010:8605::1'], 'addressUsed': '45.151.122.172'}], 'validated': '2023-11-22T07:23:26Z'}]}
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:23:38 CET 2023 - Failed to obtain certificate /var/lib/acme/vulcan.vivid.io/cert.pem for domains 'vulcan.vivid.io autoconfig.789121.wtf autoconfig.bescheidermuehle.de autoconfig.lentes-heizung-sanitaer.de autoconfig.matthiesband.de autoconfig.vivid.io autodiscover.bescheidermuehle.de autodiscover.lentes-heizung-sanitaer.de autodiscover.matthiesband.de autodiscover.vivid.io'
mailcowdockerized-acme-mailcow-1  | OK
mailcowdockerized-acme-mailcow-1  | Wed Nov 22 08:23:39 CET 2023 - Some errors occurred, retrying in 30 minutes...
mailcowdockerized-acme-mailcow-1  | OK

superviiv

Ich musste feststellen das auf meinem Server wohl ufw läuft. Nachdem ich nun ein ufw allow 80 gefolgt von einem Neustart des acme-mailcow gemacht habe, sind meine Zertifikate nun erfolgreich aktualisiert.
Das ist also die Lösung, leider habe ich das durch Try and Error rausgefunden und kann es mir nicht genauer erklären.

Was habe ich also rausgefunden. Es könnte sein das ich ein NAT Problem mit meinem Mailcow Docker habe. Daher musste ich diese Checks in der mailcow.conf skippen.

# Skip IPv4 check in ACME container - y/n
SKIP_IP_CHECK=y
# Skip HTTP verification in ACME container - y/n
SKIP_HTTP_VERIFICATION=y

Wie oben erwähnt scheint ufw noch etwas geblockt zu haben. Was Let’s Encrypt dazu brachte einen DNS Error anzuzeigen.

Es geht nun aber das (NAT?!) Problem scheint weiter zu bestehen. Mein Mailcow erkennt meine IPv6 nicht. Da es hier aber um Zertifikate und nicht um IPv6 ging, denke ich ist das Thema dieses Threads erledigt.

DocFraggle

Komisch, so wie ich die Fehlermeldung oben lese wollte Letsencrypt für den FQDN autodiscover.matthiesband.de eine CAA Abfrage machen, also einen speziellen DNS Eintrag um das Zertifikat zu verifizieren. Hattest Du da evtl in der Vergangenheit mal was für o.g. FQDN konfiguriert?

Man kann Letsencrypt ja per HTTP oder auch per DNS verifizieren lassen.

superviiv

Ich kann mich leider nicht mehr genau erinnern ob ich mal einen CAA Eintrag für matthiesband.de hatte. Möglich wäre es. Ist deine Vermutung das es mal einen Gab und Let’s Encrypt deshalb versucht hat den Eintrag über DNS zu validieren, nachdem ich aber nun die ufw konfiguriert habe dann die HTTP Validierung gegriffen hat?

DocFraggle

superviiv Ist deine Vermutung das es mal einen Gab und Let’s Encrypt deshalb versucht hat den Eintrag über DNS zu validieren, nachdem ich aber nun die ufw konfiguriert habe dann die HTTP Validierung gegriffen hat?

Ja, das ist meine Vermutung. Ich weiss nicht ob Letsencrypt die Methode irgendwo zentral speichert,, ich dachte zwar immer dass das nur lokal in der Config steht, aber wer weiß…